Synology DiskStation Manager (DSM)
Synology DSM: SQL injection nell'Auth API permette lettura/scrittura file e blocco del servizio
Il problema, secondo i dati ufficiali
- Una neutralizzazione impropria di caratteri speciali nei comandi SQL (SQL injection) nell'Auth API di Synology DiskStation Manager (DSM) permette di leggere o scrivere file arbitrari e di causare un denial-of-service (blocco del servizio).
- Può essere sfruttata da remoto, via rete e quindi anche da internet se il servizio è esposto, senza bisogno di un account (secondo il punteggio ufficiale).
Cosa fare
- Aggiorna DiskStation Manager (DSM) a una di queste versioni o successive, secondo il ramo che usi: 7.2.1-69057-13, 7.2.2-72806-10, 7.3.2-86009-5, 7.4.1-90080-1.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- DiskStation Manager (DSM): dalla 7.4.1 alla 7.4.1-90080-1 esclusa; dalla 7.3.2 alla 7.3.2-86009-5 esclusa; dalla 7.2.2 alla 7.2.2-72806-10 esclusa; dalla 7.2.1 alla 7.2.1-69057-13 esclusa
Ne parlano
- Risolte vulnerabilità in Synology DiskStation Manager (DSM) — CSIRT Italia, 10 novembre 2026
Fonti ufficiali
- www.synology.com — riferimento
Descrizione ufficiale (in inglese)
An improper neutralization of special elements used in an SQL command vulnerability in the Auth API in Synology DiskStation Manager (DSM) before 7.2.1-69057-13, 7.2.2-72806-10, 7.3.2-86009-5, and 7.4.1-90080-1 allows remote attackers to read or write arbitrary files and conduct denial-of-service attacks.
Non sai se ti riguarda?
Se usi Synology DiskStation Manager (DSM) e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.